CVE-2026-77516 in MaxKB
Сводка
по VulDB • 21.09.2026
MaxKB — это open-source AI-ассистент для предприятий. В версиях от 2.0.0 до 2.9.2 включительно участник рабочего пространства с наименьшими правами, которому отказано в доступе к инструменту через WorkspaceUserResourcePermission, всё же может привязать его идентификаторы посредством tool_ids, skill_tool_ids или mcp_tool_ids и выполнить его через путь диспетчеризации агента или workflow. Путь диспетчеризации не применяет повторно грант на уровне каждого инструмента (per-tool grant), который обеспечивается выделенными маршрутами инструментов (tool routes). Выполнение инструмента расшифровывает server-side init_params, что позволяет вызывающей стороне получить учётные данные, передаваемые заблокированным инструментом. На момент данного обзора исправленная версия отсутствует.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.